Словник для Zero Trust Security: 30 Essential Terms Explained (англійською)

Zero Trust є однією з найбільш обговорюваних парадигм безпеки в сучасних ІТ - і однією з найбільш неправильно зрозумілих. Якщо ви працюєте над інженерією безпеки, хмарною архітектурою або відповідністю, ви постійно стикаєтеся з її словником у документації, аудитах, розмовах з постачальниками і оглядах архітектури.

У цьому довіднику пояснюється 30 найважливіших термінів Zero Trust простою англійською мовою, з примітками щодо вимови, прикладами використання і контекстом, щоб допомогти вам впевнено використовувати їх.

Основна філософія

Перед словником, зрозумій принцип. Нулевая доверенность основана на одной идее:

«Ніколи не довіряй, завжди перевіряй»

Традиційна модель безпеки припускала, що все всередині корпоративної мережі було безпечним. Zero Trust відкидає це припущення повністю. Кожен запит — від кожного користувача, пристрою і служби — повинен бути автентифікований і авторизований, незалежно від того, звідки він походить.

Недоліки: нульовий рівень точності

1. Європейський Союз Центр об’єднання громад Перт

Вимова: /aɪˈdentɪti ˈsentrɪk ˈperɪmɪtə/

У традиційній безпеці периметр був межею мережі (брандмауер, VPN). У Zero Trust, периметр переміщується до профіль — користувача, пристрою або служби, що робить запит. Решения о доступе основываются на том, кто ты, а не на том, где ты.

** Використання: ** * “Ми перейшли від мережецентричного до ідентичності-центричного периметра, що означає, що VPN більше не є нашим основним контролем.” *

Мікросегментація

Вимова: /ˌmaɪkrəʊˌseɡmenˈteɪʃən/

Розділення мережі на невеликі, ізольовані сегменти, щоб навіть якщо нападник отримає доступ до одного сегмента, він не міг перейти до інших. Уявіть собі це як внутрішні брандмауери між кожним робочим навантаженням.

** Використання: ** “Наша політика мікросегментації забезпечує, що служба оплати може спілкуватися тільки зі службою авторизації — нічого більше.”

3. Найменші привілеї

Вимова: /liːst ˈprɪvɪlɪdʒ/

Принцип, що користувачі, служби і системи повинні мати тільки мінімальні права, необхідні для виконання їхньої роботи — нічого більше. Також називається принцип найменших привілеїв (PoLP).

** Використання: ** *“За найменшими привілеями, конвеєр розгортання має доступ для запису лише до контейнера перевірки, а не до виробничого.” *

4. mTLS (Mutual TLS)

** Вимова: ** /ˌmjuːtʃuəl tiː el es/

Стандартний TLS перевіряє ідентичність сервера для клієнта. ** Взаємний TLS** (mTLS) вимагає, щоб обидві сторони представили сертифікати — клієнт доводить свою ідентичність для сервера * і* сервер доводить свою ідентичність для клієнта. Необхідний для автентифікації між службами у середовищах Zero Trust.

** Використання: ** “Все міжсервісне перенесення даних захищено за допомогою mTLS — жодна служба не може викликати іншу службу без чинного сертифіката.”

5-й. Доступ до мережі Zero Trust Network (ZTNA)

Фреймворк або продукт, який замінює VPN, надаючи доступ до певних програм, а не до всієї мережі. Користувачі автентифікуються через постачальника ідентифікаційних даних і отримують доступ тільки до того, що їм потрібно.

** Використання: ** “З моменту розгортання ZTNA віддалені працівники підключаються безпосередньо до своїх авторизованих програм — вони ніколи не торкаються внутрішньої мережі.”

Ідентифікація та аутентифікація

6-й. Постачальник ідентифікаційних даних (IdP)

Служба, яка керує профілями і здійснює автентифікацію користувачів (наприклад, Okta, Azure AD, Google Workspace). У Zero Trust IdP є джерелом правди для всіх рішень щодо доступу.

7. Постійна автентифікація

На відміну від одноразового входу, постійна автентифікація перевіряє користувача або пристрій протягом сеансу - перевіряючи сигнали, такі як розташування, стан пристрою і поведінку. Якщо щось зміниться, доступ можна відкликати в реальному часі.

** Використання: ** “Наша CASB виконує постійну автентифікацію — якщо пристрій користувача не пройде перевірку стану серед сеансу, його доступ буде негайно припинено.”

8-й. Адаптаційний контроль доступу

Правила доступу, які динамічно змінюються залежно від контексту — відповідності пристрою, ролі користувача, часу дня, оцінки ризику розташування. Якщо ризик низький, безперервний доступ. Якщо ризик є високим, буде ввімкнено розширену автентифікацію.

9-й. Розширена автентифікація

Проблема безпеки, яка виникає, коли користувач намагається виконати дію високого ризику (наприклад, отримати доступ до конфіденційних даних або змінити параметри облікового запису), навіть якщо користувач вже увійшов до системи.

** Використання: ** “Доступ до виробничих даних запускає розширену автентифікацію — інженер повинен перевірити через свій апаратний токен.”

10. Сервісний рахунок

Нелюдський профіль, який використовується програмами і службами для автентифікації з іншими службами або API. У Zero Trust, облікові записи сервісів вимагають такого ж контролю, як і облікові записи людей — короткострокові дані реєстрації та правила найменших привілеїв.

Система і сегментація

11-й. Східно-західний напрямок

Транзит, який пересувається ** по сторонах ** між службами у мережі (сервер до сервера). У традиційних моделях, рух зі сходу на захід часто не контролювався. Нульова довіра застосовує інспекцію і застосування правил.

** Контраст: ** ** Транзит з півночі на південь ** пересувається між внутрішньою мережею та Інтернетом (від клієнта до сервера).

12. боковий рух

Метод, який використовують нападники для поступового пересування по мережі після початкового компромісу, шукаючи системи з більшими привілеями або конфіденційні дані. Мікросегментація і нульова довіра політики розроблені для обмеження цього.

Вживання: “Злочин було придушено, тому що мікросегментація запобігала бічним рухам за межі початкової кінцевої точки.”

13-й. Програмно-визначений периметр (SDP)

Система безпеки, яка створює периметр навколо окремих користувачів і пристроїв, а не сегментів мережі. Периметр визначається політикою, а не фізичною інфраструктурою.

14. Правила мережі

У Kubernetes і хмарних середовищах, набір правил, що визначають, які підсистеми або служби можуть спілкуватися між собою. Правила мережі є ключовим інструментом для реалізації мікросегментації на рівні завантаження.

15-й. Шифрування в транзиті

Шифрування даних під час пересування між службами, навіть у межах внутрішньої мережі. У Zero Trust, ** весь ** трафік — внутрішній або зовнішній — повинен бути зашифрований під час передачі.

Терміни контролю доступу

16-й. Програма політичного розвитку (ППР)

Компонент, який оцінює запити доступу за правилами політики і приймає рішення щодо дозволу/ заборони. Часто хмарні інструменти, такі як OPA (Open Policy Agent) служать як PDP.

17-го. Точка виконання політики (PEP)

Компонент, який перехоплює запити доступу і накладає рішення, прийняте PDP. PEP розташовується між користувачем і ресурсом.

18-й. Контроль доступу за атрибутами (ABAC)

Модель, у якій рішення щодо доступу засновано на атрибутах — відділ користувача, версія ОС пристрою, класифікація ресурсів, час запиту. Гнучкіший, ніж контроль доступу за ролями (RBAC).

** Використання: ** “Наша політика ABAC надає права на експортування даних лише менеджерам, на керованих пристроях, у робочі години.”

19-й. Доступний тільки в режимі «Just-in-time» (JIT)

Надання підвищеного доступу лише для певного завдання і обмеженого часу, а потім автоматичне його скасування. Виключає постійний привілейований доступ.

** Використання: ** “Доступ до бази даних виробництва можливий тільки за режимом JIT — інженери запитують 2-годинний проміжок часу, який автоматично закінчується.”

Привилегированное положение

Постійний, завжди активний підвищений доступ, наданий користувачеві або службі. Zero Trust має на меті вилучити постійні привілеї на користь JIT доступу.

Терміни пристрою і кінцевої точки

21. Позиція пристрою

Стан безпеки пристрою у даний момент — рівень латки, стан шифрування, присутність агента EDR, відповідність організаційній політиці. Ключовий вхід для прийняття рішень щодо доступу з нульовою довірою.

** Використання: ** “Доступ було відмовлено, оскільки перевірка стану пристрою користувача показала застарілу ОС і відсутність запущеного захисту кінцевих точок.”

22. Керований пристрій

Пристрій, зареєстрований у системі керування мобільними пристроями (MDM) або системі керування кінцевими точками організації, що надає можливість відділу інформаційних технологій застосовувати правила і виконувати віддалене стерання, якщо це потрібно.

23-й. Визначення і відповідь на кінцеву точку (EDR)

Програма безпеки, яка моніторить кінцеві точки на предмет підозрілих дій і може автоматично реагувати (ізолювати, карантин, попередження). Дані EDR надходять до перевірок положення пристрою.

Контроль і довіра

24-й. Список скарбів / упоряд

Числовий або категорійний показник того, наскільки довіряти даному запитові доступу, заснований на агрегованих сигналах (довіра до ідентичності, стан пристрою, аномалія розташування, базовий рівень поведінки).

25-й. Аналітичний аналіз (англ.)

User and Entity Behaviour Analytics — виявлення аномалій у поведінці користувачів і систем у порівнянні з їх історичним базовим рівнем. Користувач, який завантажує в 10 разів більше даних, ніж звичайно, викликає попередження.

26-го. Планета-контроль

• ** Площа керування ** — де визначається політика і приймаються рішення щодо довіри
• ** Площа даних ** — де відбувається поточний обмін даними і встановлюється політика

В архітектурі Zero Trust, розділення цих площин є найкращою практикою.

27. Радіус вибуху

Спочатку з хаосної інженерії, цей термін використовується в контексті безпеки для опису потенційного обсягу пошкодження, якщо компонент був порушений. Дизайн Zero Trust має на меті мінімізувати радіус вибуху за допомогою сегментації і найменших привілеїв.

28-й. Доступний для завантаження (ZIP)

Крайна форма найменших привілеїв, де користувачі типово не мають доступу — кожен запит на доступ має бути явно наданий у реальному часі, з повним журналюванням аудиту.

29. Ідентифікація завантаження

Профіль, який буде призначено для обчислювального навантаження (контейнера, віртуальної машини, безсерверної функції), а не для людини- користувача. Профіль завантаження дозволяє mTLS і дрібнозернисті правила мережі сервісів.

Тридцять. Аудиторський слід / журнал доступу

Повний, не піддаючийся змінам запис про те, хто, що, коли, звідки і з яким результатом. У Zero Trust, всеоб’ємні аудиторські сліди не підлягають обговоренню — вони є ступенем доказів.

** Використання: ** “Наша слідова аудиторія показала, що обліковий запис служби отримав доступ до сховища секретів 847 разів за 10 хвилин — явна аномалія, яка викликала відповідь на інцидент.”

Ключеві моменти

• ** Нульова довіра ** пересуває периметр з краю мережі до ** особистості ** кожного користувача, пристрою і служби.
• Микросегментация и наименьшие привилегии ограничивают радиус взрыва любого нарушения.
• ** mTLS ** забезпечує перевірку обох сторін у виклику служб, а не лише сервера.
• ** Адаптивний контроль доступу ** використовує контекст (положення пристрою, розташування, поведінку) для прийняття динамічних рішень щодо доступу.
• ** Доступ JIT ** усуває постійні привілеї — доступ надається лише за потреби і автоматично відновлюється.
• Зрозуміти різницю між PDP (визначає) і PEP (примушує) є важливим для архітектурних розмов.

Нульова довіра - це не продукт, який ви купуєте - це стратегія, яку ви реалізуєте. Знаючи цей словник, ви зможете вести ці розмови англійською мовою з впевненістю.